29 октября 2018 года Boeing 737 MAX 8 авиакомпании Lion Air выполнял внутренний рейс по Индонезии из Джакарты в Панкалпинанг. На борту находились 189 человек - 181 пассажир и 8 членов экипажа.
Тот самый борт
Самолёт был почти новым: его передали авиакомпании всего за несколько месяцев до катастрофы. Boeing 737 MAX на тот момент был современной версией самого массового семейства Boeing 737. Формально это был новый самолёт, но по сути он оставался развитием конструкции, созданной ещё десятилетия назад. Чтобы установить более крупные и экономичные двигатели, инженерам пришлось разместить их немного иначе - выше и дальше вперёд относительно крыла. Из-за этого на больших углах атаки самолёт мог вести себя не совсем так, как прежние 737. Вместо радикальной переработки конструкции Boeing решил компенсировать эту особенность с помощью электроники. Так появилась система MCAS, которая должна была автоматически опускать нос самолёта и делать поведение MAX более похожим на предыдущие версии 737.
Полет должен был занять около часа. Утром лайнер вылетел из аэропорта Сукарно-Хатта и начал набор высоты. Почти сразу после взлёта экипаж сталкивается с серьёзной проблемой: самолёт ведёт себя нестабильно, а на приборах появляются противоречивые показания.
Командир сообщает диспетчеру о проблемах с управлением и запрашивает возврат в аэропорт. Это происходит всего через несколько минут после взлёта. Самолёт продолжает полёт, но его высота начинает колебаться. Лайнер то набирает высоту, то снова теряет её. Для пассажиров это могло ощущаться как резкие провалы и рывки.
Главная опасность скрывалась не в погоде и не в двигателях. Проблема была в MCAS. Система автоматически опускала нос самолёта, если "решала", что угол атаки слишком большой и есть риск сваливания. Для пилотов старых версий Boeing 737 такая система была новой, но в документации и обучении MAX её роль не была подробно разъяснена.
В тот день один из датчиков угла атаки передавал неверные данные. Проще говоря, самолёт "думал", что его нос поднят слишком высоко, хотя в реальности ситуация была иной. MCAS получала эти ошибочные данные и снова и снова пыталась опустить нос вниз.
Пилоты борются с самолётом. Они отклоняют штурвалы на набор высоты, но через некоторое время автоматика снова вмешивается и опускает нос вниз. В кабине одновременно срабатывают предупреждения, приборы показывают разные значения, экипаж ведёт связь с диспетчером и пытается понять, почему самолёт не слушается.
Изменения скорости и высоты
За последние минуты полёта лайнер несколько раз резко меняет высоту. Экипаж продолжает удерживать самолёт, но борьба становится всё тяжелее. MCAS остаётся активной и вновь и внось опускает нос. В какой-то момент пилоты уже не успевают вернуть контроль.
Через 13 минут после взлёта Boeing 737 MAX 8 с большой скоростью падает в Яванское море. Удар был настолько сильным, что самолёт разрушился на множество фрагментов. Все 189 человек на борту погибли.
Поисковая операция началась почти сразу. В район падения направили корабли, вертолёты и водолазов. Обломки обнаружили вскоре после катастрофы. Бортовой самописец с параметрами полёта нашли через несколько дней, а речевой самописец удалось поднять значительно позже. Во время поисковой операции погиб один из водолазов.
Расследование показало, что катастрофа не была результатом одной ошибки. Это была цепочка проблем, каждая из которых усиливала следующую.
Выяснилось, что на этом самолёте уже возникали похожие неисправности. Во время предыдущего рейса экипаж столкнулся с тем, что автоматическая система также пыталась опустить нос. Тогда пилотам удалось справиться, они отключили электропривод триммера стабилизатора и продолжили полёт на ручном управлении. Но информация о проблеме не была должным образом передана следующему экипажу.
Маршрут
Кроме того, перед катастрофой на самолёте заменили датчик угла атаки. Позже следователи пришли к выводу, что этот датчик был неправильно откалиброван. Техническое обслуживание не выявило проблему, и самолёт снова выпустили в рейс.
Ключевым вопросом стала и сама конструкция MCAS. Система могла опираться только на один датчик угла атаки. Если этот датчик ошибался, система всё равно воспринимала его данные как достоверные и вмешивалась в управление. При этом пилоты не имели полного представления о том, как именно работает MCAS и как она может вести себя при ложных данных.
Финальный отчёт индонезийского комитета по безопасности транспорта указал сразу на несколько факторов. Среди них были ошибки в проектировании и сертификации Boeing 737 MAX, недостаточное информирование пилотов о MCAS, неправильная калибровка датчика угла атаки, плохое техническое обслуживание и неудовлетворительный обмен информацией между экипажами и инженерами.
Бортовой самописец
После катастрофы Boeing и американские авиационные власти выпустили предупреждения для операторов 737 MAX. Пилотам напомнили о действиях при самопроизвольном движении стабилизатора. Boeing также заявил о подготовке обновления программного обеспечения MCAS.
Катастрофа Lion Air стала первым крупным ударом по репутации нового Boeing 737 MAX, но пока выглядела лишь как трагическая случайность. Пока через несколько месяцев похожий сценарий не повторился в Эфиопии.
Комментарии
Не уверен, что главная проблема была именно в недостатке обучения - если система полагается на один датчик и способна сама опускать нос, её конструкция уже опасна, независимо от того, знают пилоты о ней или нет
Интересно, что в этой истории реже акцентируют неисправность MCAS, а то, как информация о предыдущем отказе просто потерялась между экипажами. На прошлом рейсе пилоты справились, отключив электропривод триммера стабилизатора, но этот опыт остался в кабине, а не в формальной документации. Для практики эксплуатации сложных систем это выглядит как разрыв в цепочке передачи данных об инциденте: если событие не зафиксировано в журнале с явной маркировкой опасности, следующий экипаж по сути получает самолёт с неизвестным дефектом. В SRE-подходе такое состояние называется «ручным хендоффом» - он критичен тем, что его надёжность зависит от человеческой памяти, а не от процедуры. И здесь просматривается дополнительная системная ошибка: даже если одиночный датчик и логика MCAS станут отказоустойчивыми, без формализованного обмена данными о предыдущих сбоях между сменами следующий аналогичный инцидент может повториться уже на другом типе автоматики
Самое страшное здесь, на мой взгляд, не ошибка датчика. Датчики могут ошибаться.Страшно, когда система спроектирована так, что одна ошибка начинает снова и снова превращаться в команду к действию, а пилотам не объяснили до конца, с чем они борются.Это уже не просто техническая неисправность, а провал в отношениях между человеком и автоматикой.
Читал и прямо мурашки по коже: один единственный датчик угла атаки решает судьбу 189 человек, а система продолжает долбить нос вниз, потому что пилоты просто не знали, с чем борются. И самое жуткое - после Lion Air всё списали на трагическую случайность, а через несколько месяцев Эфиопия повторила сценарий слово в слово. Вот за это спасибо, что разложили по полочкам: теперь понятно, что это была не ошибка пилотов и не «рандом», а система, которая была опасна по своей конструкции
ага, "трагическая случайность" которая повторилась слово в слово - просто рандом 100%😂
Вы пишете, что MCAS опиралась на один датчик угла атаки. Объясните, пожалуйста, как вообще в критической системе допускают одиночный датчик без дублирования и логики сравнения, или уверенность в цене этого решения появилась только после первых трупов?
То есть функции отключения неисправной автоматики на самолёте не было?
название неудачное. вон, мессенджер так назвали и - пожалуйста...